Le Guide Ultime de l’OTP WhatsApp vs l’OTP SMS au Maroc (2026) : Coût, Sécurité & Intégration

Par l’Équipe Wasel · Juin 2026 · 25 min de lecture

Résumé Exécutif : Dans un marché marocain en pleine numérisation, les méthodes utilisées pour vérifier l’identité des utilisateurs connaissent une évolution majeure. Pendant plus d’une décennie, les mots de passe à usage unique par SMS (SMS OTP) ont été la norme absolue. Aujourd’hui, ils constituent un véritable goulot d’étranglement opérationnel. Les SMS OTP sont de plus en plus coûteux, alarmants sur le plan de la sécurité face à des menaces modernes comme le piratage de carte SIM (SIM swapping) et l’interception sur le réseau SS7, et notoirement peu fiables lors des heures de pointe réseau.

Découvrez l’OTP WhatsApp. Avec un Maroc affichant le chiffre impressionnant de 58,29 millions d’abonnés mobiles et plus de 40 millions d’utilisateurs de l’internet mobile (selon l’ANRT), WhatsApp est devenu le véritable système d’exploitation de la communication dans le Royaume. Avec un taux d’adoption dépassant 90 % chez les utilisateurs de smartphones, les entreprises marocaines tournées vers l’avenir pivotent activement vers l’API WhatsApp Business pour leurs besoins d’authentification et de validation double facteur (2FA).

Cette transition n’est pas une simple mise à niveau technique ; c’est une nécessité commerciale stratégique. Le passage à l’OTP WhatsApp réduit les coûts d’authentification jusqu’à 90 % (notamment par rapport aux agrégateurs internationaux comme Twilio), accélère la vitesse de livraison à moins de 5 secondes, améliore considérablement les taux de conversion et offre un chiffrement de bout en bout de niveau militaire.

Ce guide complet de plus de 5 000 mots explore en profondeur le paysage des OTP au Maroc. Nous analyserons en détail les coûts comparés du SMS et de WhatsApp, examinerons les failles de sécurité inhérentes aux anciens systèmes télécoms, étudierons des cas concrets d’entreprises marocaines et fournirons un tutoriel technique étape par étape pour implémenter l’OTP WhatsApp avec votre propre numéro sur Wasel.ma.

Partie 1 : Le paysage de l’authentification au Maroc

Lorsqu’un utilisateur s’inscrit sur une nouvelle application mobile, tente de réinitialiser un mot de passe oublié ou confirme une transaction à forte valeur — comme une commande e-commerce avec paiement à la livraison (Cash-on-Delivery - COD) ou un transfert d’argent entre particuliers — l’entreprise doit valider de manière cryptographique que l’utilisateur est bien celui qu’il prétend être. L’authentification double facteur (2FA) via un mot de passe à usage unique (OTP) est le mécanisme universel pour y parvenir.

Historiquement, les entreprises marocaines s’appuyaient presque exclusivement sur le SMS classique. Les opérateurs télécoms nationaux — Maroc Telecom (IAM), Orange Maroc et Inwi — fournissaient l’infrastructure de base. Des agrégateurs de SMS achetaient des volumes en gros auprès de ces opérateurs pour les revendre ensuite aux éditeurs de logiciels et aux plateformes numériques.

Cependant, alors que l’écosystème numérique marocain s’est développé à un rythme effréné, les exigences imposées à ces systèmes d’authentification ont augmenté de manière exponentielle. Un site e-commerce menant une campagne majeure pour le Black Friday ou pendant le mois de Ramadan peut avoir besoin de valider 20 000 numéros de téléphone en un seul week-end. Une application fintech traitant des transferts de fonds nécessite des vérifications instantanées pour maintenir la confiance des utilisateurs. Face à cette échelle, à ces volumes et à cette pression, l’infrastructure SMS traditionnelle a commencé à montrer de graves faiblesses opérationnelles.

Les limites du modèle traditionnel

1. Friction dans l’expérience utilisateur : Devoir attendre 45 à 60 secondes pour recevoir un SMS, forcer l’utilisateur à changer d’application pour lire le code, puis lui demander de mémoriser et de saisir manuellement un code à 6 chiffres génère un taux d’abandon élevé dans le tunnel d’inscription.
2. Érosion des marges bénéficiaires : Les opérateurs télécoms et les agrégateurs internationaux traitent le SMS comme un canal transactionnel premium, maintenant les tarifs à des niveaux artificiellement élevés. L’envoi quotidien de milliers de SMS ampute directement la rentabilité des startups.
3. Multiplication des vecteurs de fraude : Les cybercriminels disposent d’outils sophistiqués pour exploiter le réseau télécom mondial SS7, contournant ainsi complètement la sécurité du SMS. Dans le secteur financier, le SMS n’est plus considéré comme un canal de vérification suffisamment fiable.

Partie 2 : Le goulot d’étranglement du SMS OTP : pourquoi il échoue pour les entreprises marocaines

Pour bien comprendre pourquoi la transition vers WhatsApp est inéluctable, nous devons disséquer minutieusement les faiblesses opérationnelles, financières et techniques du SMS OTP dans le contexte marocain.

1. Des coûts prohibitifs et imprévisibles

Le modèle de tarification du SMS au Maroc est fondamentalement inadapté à la croissance de volume. Chaque OTP envoyé est facturé comme une transaction individuelle. Pire encore, si vous utilisez un agrégateur international reconnu, les tarifs peuvent devenir astronomiques.

Examinons les données réelles pour l’envoi d’un seul SMS vers le Maroc :

• Twilio (Agrégateur International) : En 2026, Twilio facture environ 0,2244 $ par segment de SMS vers le Maroc. Cela équivaut à environ 2,25 MAD pour un seul SMS. Si un OTP nécessite deux segments en raison de la longueur des caractères ou du codage, ce coût double pour atteindre 4,50 MAD par tentative.
• Agrégateurs locaux (Routes directes) : Entre 0,80 MAD et 1,20 MAD par SMS.
• Routage économique à fort volume : Entre 0,50 MAD et 0,70 MAD par SMS.

Le véritable piège financier réside dans le fait que vous payez pour les tentatives d’envoi, et non pour les livraisons réussies. Si un utilisateur demande un OTP, ne le reçoit pas immédiatement en raison d’une congestion réseau et clique par frustration trois fois sur « Renvoyer le code », vous êtes facturé pour quatre SMS. Au tarif de Twilio, cela représente près de 9,00 MAD simplement pour inscrire un utilisateur gratuit. Pour une startup marocaine en pleine croissance, les coûts d’authentification peuvent rapidement dépasser l’ensemble de la facture d’hébergement cloud.

2. Le manque de fiabilité de la distribution

Au Maroc, le taux de délivrabilité réel des SMS OTP classiques oscille entre 85 % et 92 %. Où passent les 8 à 15 % restants ? Pourquoi des messages s’évaporent-ils tout simplement ?

• Filtres anti-spam des agrégateurs : Les passerelles SMS internationales filtrent souvent de manière automatisée le trafic qu’elles jugent suspect. Si vous envoyez 500 OTP en une minute, la passerelle peut classer votre compte comme émetteur de spam et supprimer silencieusement les messages, sans aucun remboursement.
• Congestion réseau au niveau du SMSC (Short Message Service Center) : Lors des pics de connexion (vendredi soir, soirées de Ramadan, fêtes religieuses comme l’Aïd, ou lors des grands matchs de l’équipe nationale), les files d’attente des opérateurs télécoms saturent. Un OTP qui devrait être acheminé en 3 secondes peut mettre 3 à 5 minutes à arriver. Comme la plupart des codes expirent au bout de 5 à 10 minutes, un retard de livraison se traduit par un échec automatique de la vérification.
• Erreurs liées à la portabilité des numéros : Lorsqu’un utilisateur marocain change d’opérateur (par exemple en passant d’Inwi à Orange, ou de Maroc Telecom à Inwi) tout en conservant son numéro, la mise à jour des bases de données mondiales de routage SMS peut prendre plusieurs jours. Durant cette période, les SMS envoyés à ce numéro sont fréquemment perdus.
• Dossiers spams natifs sur smartphone : Les smartphones Android modernes (qui représentent la grande majorité du parc mobile au Maroc) filtrent de manière agressive les messages provenant de numéros courts pour les placer dans un dossier spam masqué. Le message est bien reçu par l’appareil, mais le système d’exploitation le dissimule, empêchant l’utilisateur de voir son code d’activation.

3. De graves vulnérabilités de sécurité

C’est sans doute la faille la plus critique du système traditionnel. Le protocole SMS a été inventé dans les années 1980 pour envoyer de courts textes entre des bipeurs et les premiers téléphones portables. Il n’a jamais été conçu pour être un protocole d’authentification sécurisé pour les applications bancaires modernes.

• L’exploitation du protocole SS7 (Signaling System 7) : Le protocole SS7 relie les différents réseaux télécoms à travers le monde. Il repose sur un principe obsolète : il fait confiance par défaut à tout acteur connecté au réseau. Les pirates qui parviennent à accéder à un nœud SS7 peuvent facilement usurper des données de facturation, intercepter des appels téléphoniques et, surtout, lire les SMS en cours d’acheminement. Ce n’est pas une menace théorique ; c’est un vecteur d’attaque activement utilisé pour pirater des comptes bancaires à travers le monde.
• La fraude par échange de carte SIM (SIM Swap) : Un fraudeur se présente dans une agence de télécommunication à Casablanca muni d’une fausse carte d’identité nationale, ou corrompt un employé pour obtenir une carte SIM de remplacement associée à votre numéro de téléphone. Instantanément, votre téléphone perd le réseau et le fraudeur reçoit tous vos SMS d’authentification. Il peut alors réinitialiser vos mots de passe bancaires, accéder à vos emails et valider des transactions financières.
• Interception par malware : Le SMS étant transmis en clair sans aucun chiffrement, n’importe quelle application malveillante installée sur un appareil Android qui réussit à obtenir l’autorisation de « Lire les SMS » peut récupérer silencieusement les codes OTP reçus et les envoyer vers un serveur contrôlé par un pirate.

Partie 3 : La révolution de l’OTP WhatsApp

Au Maroc, WhatsApp dépasse le simple statut d’application : c’est l’infrastructure de base pour la communication quotidienne. Selon l’ANRT, le pays compte plus de 58,29 millions d’abonnés mobiles. Avec l’explosion du taux d’équipement en smartphones, WhatsApp affiche un taux d’adoption supérieur à 90 % chez ces utilisateurs. C’est le canal le plus logique, le plus fluide et le plus universel pour toucher les consommateurs marocains.

Lorsque Meta a officiellement ouvert l’API WhatsApp Business aux templates de type « Authentification », le paysage de la vérification s’en est trouvé transformé. Plutôt que de dépendre d’une infrastructure télécom vieillissante et vulnérable, les entreprises peuvent désormais acheminer leurs codes d’activation directement sur des réseaux IP hautement sécurisés.

Les avantages majeurs de l’OTP WhatsApp

1. Une réduction drastique des coûts (Le modèle de facturation à la conversation)

Meta a transformé le modèle tarifaire en facturant les entreprises à la conversation, et non plus au message envoyé. Lorsque vous envoyez un template d’authentification sur WhatsApp, cela ouvre une fenêtre d’échange de 24 heures avec cet utilisateur.

• Les tarifs réels : Une conversation d’authentification vers un numéro marocain via l’API officielle de Meta coûte environ 0,016 $ (soit environ 0,16 MAD). En passant par un fournisseur de solutions (BSP) ou un agrégateur local comme Wasel, le coût total constaté se situe généralement entre 0,10 MAD et 0,40 MAD par conversation, selon vos volumes d’envois.
• Des économies massives : Comparé à un SMS Twilio facturé 2,25 MAD ou à un SMS local à 0,80 MAD, l’utilisation de WhatsApp représente une économie immédiate de 60 % à 90 % par validation. De plus, si un utilisateur demande un renvoi de code dans cette même fenêtre de 24 heures, aucun frais Meta supplémentaire ne vous est facturé puisque la session est déjà ouverte.
• Impact sur le retour sur investissement (ROI) annuel : Prenons l’exemple d’une application marocaine de taille moyenne qui réalise 50 000 validations par mois.
  • Avec le SMS Twilio : 50 000 x 2,25 MAD = 112 500 MAD par mois (soit 1 350 000 MAD par an).
  • Avec le SMS local : 50 000 x 0,80 MAD = 40 000 MAD par mois (soit 480 000 MAD par an).
  • Avec l’OTP WhatsApp : 50 000 x 0,20 MAD = 10 000 MAD par mois (soit 120 000 MAD par an).
  • Passer à WhatsApp permet de réaliser des centaines de milliers de dirhams d’économies nettes chaque année.

2. Une vitesse d’envoi ultrarapide et une délivrabilité garantie

Puisque WhatsApp utilise les protocoles internet standards (TCP/IP) via Wi-Fi ou les connexions 4G/5G, il contourne intégralement les files d’attente des centres SMS des opérateurs télécoms.

• Vitesse d’acheminement : Entre 1 et 5 secondes dans le monde entier. Que l’utilisateur se trouve dans un café à Rabat, en déplacement à Dubaï ou étudiant à Paris, le code arrive instantanément car il dépend d’internet et non d’accords d’itinérance télécom internationaux.
• Taux de délivrabilité : Entre 98 % et 99 %. Dès lors que le téléphone dispose d’une connexion internet active, le message s’affiche.
• Accusés de réception cryptographiques en temps réel : Contrairement au SMS, qui indique simplement que le message a été « transmis au réseau », WhatsApp fournit la preuve de la réception et de la lecture. Vos serveurs savent précisément à quelle seconde l’OTP a été reçu par l’appareil et à quel moment l’utilisateur a ouvert le message.

3. Une sécurité de niveau militaire

• Chiffrement de bout en bout : WhatsApp s’appuie sur le protocole Signal, une référence mondiale validée par la communauté des experts en sécurité. Le code OTP est chiffré avant même de quitter les serveurs de Meta et ne peut être déchiffré que localement sur l’appareil physique du destinataire. Ni Meta, ni Wasel, ni aucun opérateur télécom ne peut lire le code durant son transit.
• Protection contre le SS7 et le SIM Swap : Un compte WhatsApp étant lié de manière cryptographique aux clés matérielles du smartphone et non simplement à la carte SIM, un pirate réalisant un échange de carte SIM (SIM Swap) ne peut pas accéder au compte WhatsApp de la victime. Une telle tentative déclenche une procédure de réenregistrement complexe qui alerte immédiatement l’utilisateur légitime.
• Une expérience utilisateur optimisée avec la copie en un clic (Copy Code UX) : WhatsApp permet d’intégrer un bouton interactif « Copier le code » dans le message de vérification. L’utilisateur clique sur ce bouton directement dans sa discussion et le code à 6 chiffres est copié dans son presse-papiers. Cela évite les erreurs de saisie et neutralise les risques d’interception par des enregistreurs de frappe (keyloggers).

Partie 4 : Tableau comparatif : OTP WhatsApp vs OTP SMS

Pour synthétiser les différences techniques, financières et opérationnelles, voici un tableau comparatif détaillé adapté au marché marocain pour l’année 2026 :

Partie 5 : Études de cas réels au Maroc

Pour mesurer l’impact concret de cette technologie, étudions comment différents secteurs d’activité au Maroc déploient l’OTP WhatsApp pour résoudre des problématiques opérationnelles majeures.

Étude de cas 1 : E-Commerce et la gestion des retours pour le paiement à la livraison (Cash-on-Delivery)

Le commerce en ligne au Maroc repose très largement sur le paiement à la livraison (COD), qui représente souvent entre 70 % et 85 % des ventes des boutiques en ligne et des marchands indépendants. Le principal risque financier pour ces commerçants est le colis refusé ou le client injoignable lors de la livraison. Lorsqu’un livreur se présente et que le destinataire a fourni un faux numéro ou ne répond pas, le vendeur doit payer les frais d’expédition aller, les frais de retour logistique et subit le coût d’immobilisation de son stock (taux de RTO - Return to Origin).

La solution avec WhatsApp : Avant qu’une commande COD ne soit validée pour expédition, le client doit obligatoirement vérifier son numéro de téléphone en recevant un OTP WhatsApp. Cette validation permet au marchand de s’assurer de deux points essentiels :

1. Le numéro de téléphone saisi est valide et actif.
2. L’acheteur utilise un smartphone avec un accès internet, ce qui augmente fortement la probabilité qu’il s’agisse d’un client réel et sérieux.

Si la vérification WhatsApp échoue, la commande est marquée comme suspecte et nécessite un appel de confirmation manuel avant envoi. Les chiffres démontrent que l’intégration d’une étape de validation par OTP WhatsApp permet de réduire les taux de RTO jusqu’à 40 %, préservant ainsi les marges des e-commerçants.

Étude de cas 2 : Fintech, banque et conformité réglementaire

Le secteur financier marocain est soumis à une réglementation stricte supervisée par Bank Al-Maghrib pour sécuriser les transactions électroniques. Les établissements bancaires et les portefeuilles mobiles (wallets) imposent une double authentification rigoureuse pour l’ajout de nouveaux bénéficiaires, la réalisation de virements importants ou la modification de mots de passe d’accès.

La solution avec WhatsApp : Les applications financières migrent progressivement ces flux de validation sensibles du SMS vers WhatsApp. Cela permet non seulement de respecter les normes de sécurité en assurant un chiffrement des données de bout en bout, mais améliore également l’image de marque. Recevoir son code d’authentification depuis un profil officiel arborant le badge vert officiel de la banque inspire une grande confiance aux clients marocains, bien plus que la réception d’un SMS classique provenant d’un numéro court anonyme.

Étude de cas 3 : Secteur de la santé et réduction des rendez-vous non honorés

Dans les cabinets de spécialistes et les cliniques privées à Casablanca ou Rabat, les rendez-vous non honorés (no-shows) représentent une perte d’activité importante. Lorsque les patients prennent rendez-vous sur des portails en ligne, le taux d’absentéisme peut être élevé si aucun rappel efficace n’est mis en place.

La solution avec WhatsApp : Dès la prise de rendez-vous en ligne, le patient doit valider ses coordonnées via un OTP WhatsApp. Une fois cette liaison établie, le cabinet peut envoyer un rappel automatique interactif 24 heures avant la consultation. Le patient peut alors cliquer directement sur « Confirmer » ou « Annuler » depuis son application de messagerie. Grâce à la validation préalable par OTP, ces rappels obtiennent un taux d’ouverture proche de 100 %, réduisant drastiquement les rendez-vous non honorés.

Partie 6 : Stratégies de repli (L’approche hybride en cascade / Waterfall)

Bien que l’adoption de WhatsApp soit extrêmement élevée au Maroc, une entreprise doit être capable de gérer les cas exceptionnels. Que faire si un client n’a pas installé l’application, ou s’il se trouve dans une zone isolée (comme certaines régions de l’Atlas) disposant uniquement d’un réseau 2G sans connexion internet mobile ?

La solution recommandée est la stratégie de vérification hybride (ou stratégie en cascade / Waterfall). Elle garantit une délivrabilité de 100 % en utilisant différents canaux selon un ordre de priorité défini.

graph TD
    A[Début de la vérification] --> B[Étape 1 : Envoi de l'OTP WhatsApp]
    B --> C{Webhook Meta : Délivré ?}
    C -- Oui (Moins de 15s) --> D[Attente de la saisie utilisateur]
    C -- Non / Timeout 15-30s --> E[Étape 2 : Envoi de l'OTP SMS]
    E --> F{Délivré ?}
    F -- Oui --> D
    F -- Non / Échec --> G[Étape 3 : Appel Vocal - Voice OTP]
    G --> D
    D --> H[Saisie du code et validation]

Le fonctionnement du flux en cascade

1. Tentative par WhatsApp (Canal Principal) : Le système envoie en priorité le code via WhatsApp. C’est le choix par défaut en raison de sa rapidité, de sa sécurité et de son coût très bas.
2. Détection du statut de distribution (La bascule) : Grâce aux webhooks, vos serveurs surveillent en temps réel le statut du message. Si l’API retourne un échec immédiat (par exemple si le numéro n’est pas enregistré sur WhatsApp) ou si aucun accusé de réception n’est reçu dans un délai de 15 à 30 secondes, le système passe à l’étape suivante.
3. Tentative par SMS (Premier niveau de repli) : Le système bascule automatiquement sur l’envoi d’un SMS traditionnel. Ce canal couvre les utilisateurs possédant des téléphones classiques sans internet ou ceux n’ayant pas installé la messagerie.
4. Tentative par Appel Vocal (Second niveau de repli) : Si le SMS échoue également (en raison d’un filtrage opérateur ou d’un réseau mobile instable), un système d’appel automatisé contacte le client pour lui dicter de vive voix le code d’activation en français ou en Darija.

Cette approche garantit que les services critiques (comme les banques ou les administrations en ligne) délivrent le code à coup sûr, tout en évitant de payer systématiquement les tarifs élevés du SMS pour la majorité des utilisateurs de smartphones.

Partie 7 : Meilleures pratiques UX pour l’intégration de l’OTP

L’expérience utilisateur (UX) joue un rôle déterminant dans le taux de conversion final de votre parcours d’inscription. Voici comment concevoir votre interface utilisateur pour qu’elle s’intègre parfaitement avec l’API d’authentification WhatsApp.

1. Annoncer clairement le canal de réception

Évitez toute confusion pour l’utilisateur. Si vous envoyez le code de validation sur WhatsApp, indiquez-le clairement à l’écran, idéalement en affichant l’icône verte caractéristique de l’application.

• Mauvaise pratique UX : « Nous vous avons envoyé un code de validation. Saisissez-le ci-dessous. »
• Bonne pratique UX : « Nous avons envoyé un code à 6 chiffres sur votre compte WhatsApp au +212 6XX-XXXXXX. Veuillez consulter vos messages. »

2. Mettre en place un délai de renvoi intelligent

Pour éviter que des utilisateurs impatients ne cliquent plusieurs fois d’affilée sur le bouton « Renvoyer le code » (ce qui surcharge les API, peut bloquer des comptes et générer l’envoi de codes multiples désordonnés), vous devez intégrer un compte à rebours visuel sur votre interface. Une attente de 30 à 60 secondes est conseillée avant de rendre à nouveau cliquable le bouton de renvoi par WhatsApp.

3. Saisie facilitée et validation automatique

Lorsque l’utilisateur clique sur le bouton « Copier le code » dans son message WhatsApp et revient sur votre site ou application, l’interface doit faciliter le collage du code. Si possible, configurez les champs de saisie pour qu’ils détectent le format à 6 chiffres et soumettent automatiquement le formulaire dès que le dernier chiffre est entré, évitant ainsi à l’utilisateur d’avoir à cliquer manuellement sur un bouton « Valider ».

4. Proposer une alternative manuelle claire

Si un utilisateur rencontre des difficultés, il doit pouvoir trouver une solution de secours. En dessous de votre compte à rebours, affichez toujours un lien d’échappement : « Vous n’avez pas reçu le code sur WhatsApp ? Recevoir par SMS. » Cela permet à l’utilisateur de garder le contrôle et de finaliser son action même s’il rencontre des problèmes de réseau internet.

Partie 8 : Le guide ultime du développeur : comment activer l’OTP WhatsApp avec votre propre numéro sur Wasel.ma

Passons maintenant à la mise en pratique. Si vous souhaitez envoyer des codes de vérification (OTP) depuis votre propre numéro WhatsApp Business à l’aide de Wasel, l’intégration est simplifiée mais suit un processus rigoureux pour respecter les règles de Meta.

L’intégration se divise en deux grandes phases :

1. La connexion de votre numéro de téléphone professionnel à Wasel via l’Embedded Signup de Meta.
2. L’appel aux endpoints de l’API externe de Wasel pour envoyer et valider les codes.

Ce guide présente les étapes techniques basées sur l’architecture de Wasel.

Prérequis indispensables

Avant de commencer le déploiement, assurez-vous de disposer des éléments suivants :

• Un compte organisationnel actif sur Wasel.ma.
• Un espace de travail (workspace) configuré dans votre tableau de bord Wasel.
• Une organisation validée par l’équipe Wasel (selon votre formule d’abonnement).
• Un numéro de téléphone dédié exclusivement à l’utilisation de WhatsApp Business.
• Les accès administrateur au gestionnaire d’entreprise Meta Business Manager associé à votre compte WhatsApp.
• L’option API Externe activée sur votre abonnement Wasel, requise pour déclencher des envois de codes depuis vos propres applications.

Rappel : Dans le parcours d’activation de Wasel, la liaison de votre numéro WhatsApp s’effectue après la validation de votre compte organisationnel.

Étape 1 : Finaliser la configuration de votre compte Wasel

Avant de lier un numéro de téléphone, l’organisation doit compléter sa configuration initiale sur la plateforme :

1. Créez votre compte sur Wasel.ma.
2. Configurez votre espace de travail (définition du nom, choix du fuseau horaire par défaut, etc.).
3. Attendez la validation administrative de l’équipe Wasel si votre niveau d’abonnement requiert un contrôle manuel.

Une fois ces étapes finalisées, l’action connect_whatsapp devient disponible dans votre espace d’administration.

Étape 2 : Connecter votre numéro WhatsApp Business

La procédure d’inscription de Wasel utilise l’Embedded Signup officiel de Meta. Ce flux permet de récupérer et de stocker de manière sécurisée les identifiants clés pour votre organisation :

• waba_id (L’identifiant unique du compte WhatsApp Business)
• wa_phone_number_id (L’identifiant spécifique du numéro lié chez Meta)
• wa_token (Le jeton d’accès sécurisé requis pour authentifier les appels d’API)

Côté administrateur, la démarche est entièrement guidée :

1. Initiez la procédure d’association WhatsApp depuis votre espace client Wasel.
2. Identifiez-vous avec votre compte administrateur Meta dans la fenêtre sécurisée qui s’ouvre.
3. Sélectionnez le compte WhatsApp Business existant ou créez-en un nouveau.
4. Sélectionnez le numéro de téléphone que vous souhaitez utiliser pour l’envoi de vos messages.
5. Validez les autorisations demandées (gestion des messages et des modèles de messages).
6. Finalisez le processus pour être redirigé vers votre espace Wasel.

À l’issue de cette validation, Wasel traite l’authentification en arrière-plan, associe le numéro de téléphone à votre espace de travail, enregistre les accès de manière sécurisée dans son coffre-fort et met à jour votre statut de configuration.

Étape 3 : Saisir le code de confirmation Meta (si requis)

Dans certains cas, Meta peut exiger une validation supplémentaire du numéro pour confirmer sa propriété lors de l’enregistrement. Si cette étape est requise, Wasel gère ce flux directement depuis sa console d’administration :

1. Demandez l’envoi d’un code de vérification pour le numéro choisi.
2. Recevez le code par SMS ou via un appel vocal automatique (selon la méthode sélectionnée).
3. Renseignez le code de vérification reçu dans l’interface de Wasel.
4. Wasel transmet l’information aux serveurs de Meta et finalise la validation du numéro.

Note technique : Ce processus est géré en arrière-plan par les contrôleurs request_code et verify_code de Wasel.

Étape 4 : Activation technique et routage des webhooks

Une fois le numéro connecté et validé par Meta, Wasel finalise les liaisons techniques pour garantir le bon acheminement des webhooks et des réponses :

1. Inscription de votre compte WhatsApp Business aux webhooks de routage de Wasel (suivi de livraison, réception des messages).
2. Enregistrement officiel de la ligne téléphonique auprès de la plateforme WhatsApp Cloud API.
3. Changement du statut d’onboarding vers completed dès réception des confirmations de routage envoyées par Meta.

Si vous migrez un numéro depuis l’application mobile WhatsApp Business classique vers l’API, Wasel peut initier des tâches d’arrière-plan pour :

• Synchroniser la base de données de vos contacts.
• Importer l’historique des échanges récents.

(Attention : L’importation de l’historique doit être démarrée dans les 24 heures suivant la liaison du numéro, conformément aux directives de Meta).

Étape 5 : Validation de la ligne

Votre numéro est considéré comme opérationnel et prêt pour la production dès lors que Wasel a validé et enregistré :

• Un compte WhatsApp Business (WABA) valide.
• Un identifiant de numéro de téléphone (Phone Number ID).
• Un jeton d’accès (Access Token) valide et actif.
• L’enregistrement des abonnements aux webhooks.
• L’activation de la ligne sur l’API Cloud.

À ce stade précis, l’état d’onboarding bascule sur completed et le numéro peut être sollicité pour émettre des messages via l’API d’authentification (OTP).

Étape 6 : Génération de votre clé d’API Wasel

Pour déclencher programmatiquement des envois de codes d’authentification depuis votre serveur (qu’il s’agisse d’un backend Node.js, d’une application Django en Python, Laravel en PHP, ou autre), vous devez disposer d’une clé d’API externe. Cette clé servira de jeton Bearer pour sécuriser vos échanges.

Procédure de création :

1. Accédez à la rubrique Clés d’API Externes dans votre espace d’administration Wasel.
2. Cliquez sur le bouton Générer une nouvelle clé.
3. Copiez la clé affichée et intégrez-la dans les variables d’environnement (.env) de votre application ou dans votre gestionnaire de secrets.

Conseils de sécurité importants :

• La clé d’API ne s’affiche en clair qu’une seule fois lors de sa création. En cas de perte, vous devrez la révoquer et en générer une nouvelle. Ne l’ajoutez jamais dans vos dépôts Git publics.
• Votre organisation doit être dans un statut actif.
• L’option API Externe doit être souscrite et active sur votre formule d’abonnement.

Étape 7 : Envoyer et vérifier les OTP via l’API Wasel

Une fois votre numéro connecté et votre clé d’API en votre possession, vous pouvez intégrer le service à vos applications. Wasel prend en charge la gestion des formats JSON de Meta, l’approbation des modèles de messages (templates) et la gestion des erreurs d’envoi.

Fonctionnement interne du service d’OTP de Wasel :

• L’envoi s’effectue via un modèle de message WhatsApp officiel de type AUTHENTICATION.
• Le nom du modèle enregistré par défaut dans le système est wassel_otp.
• Création automatique : Si ce modèle n’existe pas encore pour votre compte lors du premier appel d’API, Wasel le crée automatiquement auprès de Meta. Ce modèle est approuvé de manière quasi instantanée par les systèmes de vérification de Meta.
• Les codes générés par Wasel comportent par défaut 6 chiffres.
• La durée de validité (TTL) d’un code est fixée à 10 minutes.
• Le nombre de tentatives de saisie autorisé est limité à 3.

Règle de sécurité importante : Dès qu’un nouveau code OTP est demandé pour un numéro de téléphone, Wasel invalide automatiquement tout code précédent en attente pour ce même numéro afin d’éviter les collisions et les tentatives de rejeu.

Endpoint d’envoi de l’OTP (Send OTP)

Pour déclencher l’envoi d’un code de vérification, effectuez une requête POST HTTPS depuis votre serveur backend vers les API de Wasel.

curl -X POST "https://YOUR-WASEL-DOMAIN/external/v1/otp/send" \
  -H "Authorization: Bearer ext_votre_cle_ici" \
  -H "Content-Type: application/json" \
  -d '{
    "phone": "+212600000000",
    "lang": "fr",
    "ttl_minutes": 10,
    "max_attempts": 3,
    "button_type": "copy_code",
    "reference": "inscription_utilisateur_123"
  }'

Description des paramètres :

• phone : Le numéro de téléphone du destinataire, écrit au format international normalisé E.164 (ex : +2126…).
• lang : La langue du modèle de message Meta à utiliser (ex : “fr” pour le français, “ar” pour l’arabe, “en” pour l’anglais).
• ttl_minutes : Le temps (en minutes) durant lequel le code reste valide en base de données.
• max_attempts : Le nombre d’erreurs de saisie autorisées avant le blocage du code.
• button_type : La valeur copy_code permet d’insérer le bouton interactif de copie rapide dans la discussion WhatsApp.
• reference : Un identifiant interne propre à votre application (ID utilisateur ou de session). Cela permet de suivre la demande et d’éviter les mélanges si l’utilisateur ouvre plusieurs formulaires en parallèle.

Retour d’API attendu : Wasel génère un code sécurisé, transmet le message d’authentification via l’API Cloud de Meta, enregistre l’empreinte (hash) du code en base de données avec le statut pending et retourne à votre serveur l’identifiant de la transaction OTP, l’identifiant du message WhatsApp et l’heure d’expiration.

Endpoint de vérification de l’OTP (Verify OTP)

Dès que l’utilisateur saisit le code reçu sur votre interface, votre serveur doit le transmettre à Wasel pour validation cryptographique.

curl -X POST "https://YOUR-WASEL-DOMAIN/external/v1/otp/verify" \
  -H "Authorization: Bearer ext_votre_cle_ici" \
  -H "Content-Type: application/json" \
  -d '{
    "phone": "+212600000000",
    "code": "123456",
    "reference": "inscription_utilisateur_123"
  }'

Réponses possibles retournées par Wasel :

• verified : Le code saisi est correct, valide et respecte les limites d’expiration et de tentatives. Vous pouvez valider l’action de l’utilisateur.
• invalid_code : Le code saisi est incorrect. Le compteur de tentatives est incrémenté.
• expired : La durée de validité (TTL) du code est dépassée. L’utilisateur doit initier une nouvelle demande.
• max_attempts_exceeded : Le nombre maximal de tentatives a été atteint. La validation est bloquée pour des raisons de sécurité.
• not_found : Aucune demande de code en attente ne correspond à ce numéro de téléphone ou à cette référence.

Étape 8 : Suivi des statistiques et analyse des conversions

Pour les applications d’envergure, il est crucial de suivre l’état de santé de votre tunnel d’authentification. Wasel propose des endpoints d’analyse pour observer les performances en temps réel.

Vérification du statut d’une transaction : GET /external/v1/otp/status

Accès aux rapports statistiques : GET /external/v1/otp/analytics

Ces points de terminaison permettent d’alimenter vos tableaux de bord internes (de type Grafana ou consoles d’administration) afin de suivre :

• Le statut de livraison d’un code pour un utilisateur spécifique ayant fait une demande de support.
• Le nombre de tentatives de validation déjà consommées.
• Le taux de conversion global de vos tunnels de validation.
• Les volumes cumulés de codes envoyés, validés, expirés ou bloqués pour votre organisation sur une période définie.

Partie 9 : Références, sources de données et citations

La transparence et la rigueur scientifique sont de mise lors de l’analyse de choix d’architecture applicative impactant des flux critiques. Les données de coûts, les études statistiques et les analyses de sécurité présentées dans ce guide s’appuient sur des rapports officiels et des documentations reconnues.

1. Statistique des télécommunications au Maroc et pénétration de WhatsApp

Les données de pénétration mobile et d’usages internet proviennent des publications officielles de l’Agence Nationale de Réglementation des Télécommunications (ANRT) :

• Le parc d’abonnés mobiles au Maroc s’élève à 58,29 millions, ce qui représente un taux de pénétration mobile de 158,26 % par rapport à la population nationale.
• Le nombre d’abonnés à internet atteint 40,2 millions, l’internet mobile (3G/4G) représentant à lui seul 93 % des connexions globales.
• Selon le rapport DataReportal « Digital 2024: Morocco », le pays compte plus de 21,20 millions d’utilisateurs actifs de réseaux sociaux. Étant donné la place prépondérante de WhatsApp au sein de la société marocaine pour les usages personnels et professionnels, les analyses régionales estiment que plus de 90 % des possesseurs de smartphones au Maroc utilisent quotidiennement l’application.

2. Étude des coûts de routage SMS : Twilio et agrégateurs

Les comparaisons financières s’appuient sur les grilles tarifaires publiques des principaux acteurs de la messagerie :

• Tarifs Twilio (2026) : Selon la documentation officielle de Twilio concernant l’envoi de messages vers le Maroc avec un identifiant d’expéditeur alphanumérique (Alphanumeric Sender ID), le coût de base est fixé à 0,2244 $ par segment de SMS. En appliquant les taux de change actuels, cela dépasse 2,25 MAD par segment.
• Tarifs de l’API Meta Business : La grille tarifaire officielle de la plateforme WhatsApp Business de Meta indique qu’une conversation de catégorie « Authentification » vers un numéro de téléphone marocain (+212) coûte entre 0,015 € et 0,016 € (soit environ 0,16 MAD). Ces données chiffrées confirment que l’OTP WhatsApp s’avère jusqu’à 90 % moins cher que le SMS acheminé par des réseaux internationaux.

3. Faiblesses du protocole SMS et vulnérabilité SS7

La vulnérabilité structurelle du SMS est un sujet documenté par les instances de cybersécurité :

• Les failles du réseau SS7 : Les vulnérabilités du système de signalisation SS7 ont été présentées lors du Chaos Communication Congress en 2014. Ce protocole manque d’authentification forte entre les nœuds, ce qui permet à des attaquants disposant d’un accès de détourner et d’intercepter des SMS (notamment des codes de banque en ligne) sans que l’utilisateur ou l’opérateur ne s’en aperçoive.
• Directives du NIST (National Institute of Standards and Technology) : Dans sa publication spéciale SP 800-63B (Digital Identity Guidelines), le NIST américain déconseille formellement l’utilisation du SMS classique pour l’authentification double facteur, en raison des risques inhérents d’interception et de l’absence de vérification cryptographique des expéditeurs.

4. Usurpation de ligne par SIM Swapping dans la région MENA

La fraude par échange de carte SIM (SIM swapping) consiste pour un attaquant à faire transférer le numéro de téléphone de sa victime sur une nouvelle carte SIM sous son contrôle. Une fois cette opération réalisée, le pirate reçoit l’ensemble des codes de réinitialisation et d’authentification bancaire. Des rapports d’éditeurs en cybersécurité comme Kaspersky ou Norton décrivent cette méthode comme l’un des principaux vecteurs de compromission des comptes protégés par SMS. Au Maroc, la recrudescence de ces incidents a conduit le secteur bancaire, sous l’impulsion de Bank Al-Maghrib, à imposer des mécanismes de sécurité renforcés et à privilégier l’utilisation de canaux chiffrés et liés à des applications, accélérant la migration vers des services comme WhatsApp.

5. Validation du protocole cryptographique de WhatsApp

Le chiffrement de bout en bout de l’application s’appuie sur le protocole Signal, initialement développé par Open Whisper Systems. Ce protocole garantit une sécurité optimale. Lorsque Wasel transmet une demande d’OTP via l’API, le contenu est chiffré avant d’être expédié. Il ne peut être déchiffré que sur l’appareil physique de l’utilisateur final, protégeant ainsi le code contre toute interception au niveau des opérateurs de transit, des agrégateurs ou du réseau de signalisation.

Conclusion : L’impératif stratégique pour les startups et entreprises marocaines

Le passage du SMS traditionnel à l’OTP WhatsApp n’est plus une simple option technique ou un projet d’expérimentation ; c’est une nécessité économique, de sécurité et d’efficacité pour toute entreprise opérant sur le marché marocain en 2026. L’association de coûts très bas (jusqu’à 90 % d’économie), de délais de livraison quasi instantanés et d’un chiffrement robuste rend le SMS obsolète pour la vérification des utilisateurs de smartphones dans le Royaume.

En vous appuyant sur l’infrastructure de Wasel, votre équipe de développement évite d’avoir à concevoir un moteur d’envoi complexe auprès de Meta, de gérer la validation fastidieuse des modèles de messages, de résoudre les problématiques de montée en charge ou de maintenir des états de sessions en base de données. En quelques requêtes d’API REST sécurisées à l’aide de votre clé Wasel, vous offrez à vos clients marocains un parcours d’authentification fluide, professionnel et hautement sécurisé, en phase avec les exigences du marché actuel.

Vous souhaitez moderniser votre flux de validation, réduire vos factures télécoms et sécuriser vos parcours clients ? Consultez la Documentation de l’API Wasel pour débuter dès aujourd’hui l’intégration de vos OTP WhatsApp.